Dreiging Onderdeel van Business Email Compromise

Adversary-in-the-Middle (AiTM)

Waarom MFA deze aanval niet tegenhoudt

Je hebt MFA aan staan en toch logt er iemand anders in op je Microsoft 365. Geen gekraakt wachtwoord, geen mislukte aanmeldpogingen, geen wachtwoordreset. Bij een adversary-in-the-middle-aanval steelt de aanvaller niet je wachtwoord, maar de sessie die je krijgt nadat je zelf netjes MFA hebt goedgekeurd. Vanaf dat moment is hij voor Microsoft niet te onderscheiden van jou.

Probeer Attic MDR 14 dagen Lees het AiTM Threat Report
Door het Attic Lab security team

1 op 5

organisaties werd per kwartaal gehackt via een nep-inlogpagina

44%

van de bezoeken aan een AiTM-pagina komt van buiten het bedrijfsnetwerk

6 min

waarbinnen Attic een incident consequent van oppak tot oordeel brengt

Tegel 1 en 2: Attic AiTM Threat Report 2024-2025, eigen detectiedata over juli 2024 tot juni 2025, 1.592 bezoeken en 492 daadwerkelijke kliks. Tegel 3: eigen meting op incidenten in de beta-groep, peildatum juli 2026, bij auto-approve.

Wat is een adversary-in-the-middle-aanval?

Een adversary-in-the-middle-aanval is phishing waarbij de nep-inlogpagina geen kopie is, maar een doorgeefluik. De aanvaller zet een reverse-proxy neer tussen jou en Microsoft. Wat jij ziet komt echt van Microsoft, alleen loopt het via zijn server.

Daardoor wordt niet alleen je wachtwoord onderschept, maar het hele aanmeldproces: de MFA-code of de push die je goedkeurt, en daarna het sessietoken dat Microsoft afgeeft. Dat token is het toegangsbewijs. Wie het heeft, is binnen zonder opnieuw te hoeven aanmelden.

Voor Microsoft 365 weegt dat zwaar, omdat één sessie toegang geeft tot e-mail, SharePoint, OneDrive en Teams tegelijk. Kant-en-klare toolkits zoals Evilginx en Modlishka maken het opzetten van zo'n proxy toegankelijk voor aanvallers zonder eigen ontwikkelwerk.

Zo verloopt een AiTM-aanval, stap voor stap

De aanvaller zet een reverse-proxy op die het verkeer tussen jou en Microsoft doorgeeft. Het ziet eruit als de echte inlogpagina, want het ís de echte pagina. Alleen loopt alles via hem.

  1. 1

    Phishing-mail met link

    Een overtuigend bericht met een link naar wat een Microsoft-inlogpagina lijkt

  2. 2

    Inloggegevens ingevoerd

    E-mailadres en wachtwoord worden ingevuld. De proxy stuurt ze rechtstreeks door naar Microsoft

  3. 3

    MFA goedgekeurd

    Microsoft vraagt om MFA. De push wordt goedgekeurd of de code ingevoerd. Ook dat gaat via de proxy

  4. 4

    Sessietoken onderschept

    Microsoft geeft een geldig sessietoken af. De aanvaller vangt het op

  5. 5

    Aanmelden zonder aanmelden

    Met dat token meldt de aanvaller zich aan. Geen wachtwoord nodig, geen MFA nodig

Verschil tussen AiTM en man-in-the-middle (MitM)

De termen lopen door elkaar, maar het verschil is praktisch relevant. Bij een klassieke man-in-the-middle-aanval onderschept de aanvaller netwerkverkeer, bijvoorbeeld op een openbaar wifi-netwerk, en leest of manipuleert hij data onderweg. Dat is grotendeels dichtgezet door HTTPS.

Een adversary-in-the-middle-aanval zit een laag hoger. De aanvaller zet zelf een website neer die als reverse-proxy werkt. HTTPS klopt gewoon, het certificaat klopt gewoon, en het slot in de adresbalk klopt ook. Het doel is niet de data onderweg maar het sessietoken dat na een geslaagde MFA wordt afgegeven.

Man-in-the-middle

  • • Luistert netwerkverkeer af
  • • Vereist netwerktoegang, bijvoorbeeld wifi
  • • Grotendeels geblokkeerd door HTTPS
  • • Richt zich op data onderweg

Adversary-in-the-middle

  • • Draait een eigen reverse-proxy op een nep-domein
  • • Werkt via een phishing-link, overal
  • • HTTPS verandert er niets aan
  • • Richt zich op het sessietoken na MFA

Waarom MFA deze aanval niet tegenhoudt

De meeste organisaties leunen op MFA als de belangrijkste verdedigingslinie tegen phishing. Tegen AiTM staat die linie er wel, maar hij doet niets. De aanvaller wacht gewoon tot jij hebt goedgekeurd en pakt daarna de sessie.

  • SMS-codes, authenticator-apps en push-notificaties helpen hier niet

    Alledrie worden ze door de proxy doorgegeven aan Microsoft. De aanvaller hoeft ze niet te kraken, alleen door te sturen

  • Één sessie is toegang tot alles

    E-mail lezen en versturen voor factuurfraude, SharePoint en OneDrive doorzoeken, en de aanval doorzetten via de contactlijst

  • De aanmelding zelf ziet er geldig uit

    De aanvaller komt binnen met een token dat Microsoft zelf heeft afgegeven. Geen mislukte pogingen, geen wachtwoordreset

  • Het gebeurt buiten kantoor

    44 procent van de bezoeken aan een AiTM-pagina komt van buiten het bedrijfsnetwerk, thuis, onderweg of bij een klant. Netwerkmaatregelen kijken daar niet mee

Wat Microsoft 365 er zelf van ziet

Microsoft ziet het wel. Het punt is waar het terechtkomt. Hergebruik van een gestolen sessietoken komt in Entra ID Protection binnen als de risicodetectie Anomalous Token, met risiconiveau Low of Medium. Microsoft schrijft er in de eigen documentatie bij dat deze detectie gevoelig is voor ruis.

“Anomalous token was historically tuned to incur more noise than other detections. Recent improvements to the detection have reduced the noise; however, there's still a higher than normal chance that some of the sessions flagged by this detection are false positives at low and medium risk levels.”
Microsoft Learn, Entra ID Protection risk detections, pagina bijgewerkt 23 april 2026

Zo'n signaal is dus geen rood scherm dat iemand wakker maakt. Het is een regel op een lijst, laag geclassificeerd, tussen tientallen andere. Bij een IT-team dat er ook nog dertig andere dingen bij doet, is dat precies het signaal dat blijft liggen.

Hetzelfde geldt voor wat er meestal ná de tokendiefstal gebeurt. Een doorstuur- of omleidregel in de mailbox, de klassieke eerste zet richting factuurfraude, komt binnen via de alert policy “Creation of forwarding/redirect rule” met severity Informational. En die vuurt niet eens als de regel vanuit Outlook op de desktop wordt aangemaakt.

Wat je er zelf aan kunt doen

Er is geen enkele maatregel die AiTM in zijn eentje dichtzet. Deze drie halen het meeste weg, in deze volgorde.

1

Phishing-resistente MFA

Stap over op FIDO2-sleutels of passkeys. Die zijn gebonden aan het echte domein en werken domweg niet op een proxy. Begin bij de beheerdersaccounts, daar is de winst het grootst en het aantal gebruikers het kleinst.

2

Conditional Access op apparaatcompliance

Een gestolen token is waardeloos als het alleen werkt vanaf een apparaat dat je kent. Minder prettig voor BYOD, maar effectief. Lukt het niet organisatiebreed, doe het dan voor een deel van de organisatie.

3

Iemand die naar de signalen kijkt

Maatregelen 1 en 2 dekken niet alles af, en ze zijn nooit in één keer overal doorgevoerd. Wat overblijft is opvolging: iemand die het Anomalous Token-signaal oppakt op de dag dat het binnenkomt.

In onze eigen detectiedata werd 21 procent van de AiTM-URL's die Microsoft al had gescand, daarna alsnog door een mens bezocht. Scannen is niet hetzelfde als tegenhouden.

Wat Attic doet

Attic MDR is de derde maatregel, als dienst. Wij pakken de signalen op die Microsoft laag classificeert, en handelen ze af.

Attic MDR draait op je bestaande Microsoft 365-omgeving. Geen extra securitytools, geen losse agents, geen licentie-upgrade. IVON, de agentic laag van Attic, doet de triage op elk signaal dat binnenkomt en onderzoekt wat er onder zit: welke aanmelding, vanaf welk IP-adres, met welk token, en wat er daarna in de mailbox is gebeurd.

IVON adviseert, Attic voert uit. Bij een bevestigde tokendiefstal kan Attic op advies van IVON de sessie intrekken, het account blokkeren en de doorstuurregel verwijderen. Je krijgt het incident met de tijdlijn erbij, per e-mail, webhook of pushmelding in de Attic-app. Wij bellen niet.

Probeer Attic MDR 14 dagen Zo werkt Attic MDR
Uit de beta

Alle 165 Defender XDR-alerts die in juli 2026 bij dertien aangesloten beta-omgevingen binnenkwamen, zijn door IVON in behandeling genomen.

Zeven van de tien van die 165 kwamen binnen op de twee laagste standen, Informational of Low.

Het AiTM Threat Report

Attic Lab analyseerde 1.592 bezoeken en 492 daadwerkelijke kliks op AiTM-pagina's tussen juli 2024 en juni 2025, op basis van eigen detectiedata. Het rapport staat vol met wanneer er geklikt wordt, vanaf welke verbinding, met welke domeinextensies, en hoeveel van die pagina's bij meerdere organisaties tegelijk terechtkomen.

Download Nederlands Download Engels

Veelgestelde vragen over AiTM

Een AiTM-aanval is phishing waarbij de aanvaller een reverse-proxy tussen het slachtoffer en de echte dienst zet, bijvoorbeeld Microsoft 365. Het hele aanmeldproces gaat daar doorheen: wachtwoord, MFA en het sessietoken dat Microsoft daarna afgeeft. Met dat token komt de aanvaller binnen zonder opnieuw aan te melden.
Bij een klassieke man-in-the-middle-aanval onderschept de aanvaller netwerkverkeer, vaak op een onbeveiligd wifi-netwerk. Dat is grotendeels dichtgezet door HTTPS. Een AiTM-aanval werkt anders: de aanvaller draait een eigen nep-domein als reverse-proxy, met een geldig certificaat, en richt zich specifiek op het sessietoken dat na een geslaagde MFA wordt afgegeven.
Standaard MFA niet. SMS-codes, authenticator-apps en push-notificaties worden door de proxy doorgegeven aan Microsoft; de aanvaller wacht tot de gebruiker heeft goedgekeurd en pakt daarna het sessietoken. Phishing-resistente MFA werkt wel, omdat FIDO2-sleutels en passkeys gebonden zijn aan het echte domein en niet reageren op een proxy.
Drie dingen, in deze volgorde. Voer phishing-resistente MFA in, te beginnen bij de beheerdersaccounts. Zet Conditional Access op apparaatcompliance, zodat een gestolen token niet werkt vanaf een onbekend apparaat. En zorg dat er opvolging is op wat er overblijft: Microsoft classificeert tokendiefstal als Low of Medium, dus zonder iemand die daarnaar kijkt blijft het signaal liggen.
Meestal niet. De aanvaller meldt zich aan met een token dat Microsoft zelf heeft afgegeven, dus er is geen mislukte aanmeldpoging en geen wachtwoordreset. De eerste zichtbare sporen zijn vaak indirect: een doorstuurregel die niemand heeft aangemaakt, een factuur met gewijzigde bankgegevens, of een collega die reageert op een mail die je nooit hebt verstuurd.

Gerelateerde dreigingen

Phishing

AiTM is de vorm van phishing die ook door MFA heen komt.

Website spoofing

Een gekloonde website maakt de phishing-link geloofwaardiger.

CEO-fraude

Een gekaapte mailbox van een directielid is het startpunt voor factuurfraude.

Business email compromise

Waar een gestolen sessie meestal op uitdraait.

Kijk wat er in jouw omgeving blijft liggen

Attic MDR draait veertien dagen gratis op je eigen Microsoft 365-omgeving. Binnen vijf minuten actief, maandelijks opzegbaar. Je ziet wat er binnenkomt, hoe het is afgehandeld en wat je zonder opvolging was misgelopen.

Probeer Attic MDR 14 dagen Bekijk de prijzen